szyfrowanie urządzenia

Szyfrowanie urządzenia to szyfrowanie całej pamięci telefonu albo komputera, dzięki któremu dane pozostają nieczytelne dla osoby, która przejmie sprzęt bez znajomości PIN-u lub hasła. NIST definiuje szyfrowanie pamięci masowej jako użycie szyfrowania i uwierzytelniania do ograniczenia dostępu do przechowywanych informacji ^[1]. Chroni ono przede wszystkim przed skutkami zgubienia, kradzieży albo nieprawidłowego wycofania sprzętu z użytku ^[2]. Nie chroni danych na włączonym, odblokowanym urządzeniu.

Jak działa

Dane na dysku są zapisywane w postaci zaszyfrowanej, a klucz do ich odczytu jest udostępniany dopiero po poprawnym uruchomieniu i uwierzytelnieniu użytkownika. Microsoft wyjaśnia, że dane na zgubionym lub skradzionym urządzeniu są narażone na odczyt narzędziem uruchomionym z innego nośnika albo po przełożeniu dysku do innego komputera ^[2]. Szyfrowanie zamyka obie drogi.

Klucz rzadko pochodzi bezpośrednio z hasła. Przechowuje go i chroni układ sprzętowy: moduł TPM w komputerach z Windows ^[2], Secure Enclave w komputerach Mac z procesorem Apple albo układem T2 ^[4]. Uruchamianie komputera z BitLockerem przebiega jak na schemacie poniżej.

RYS. 1Start komputera z zaszyfrowanym dyskiem

TPM współpracuje z BitLockerem, żeby upewnić się, że urządzenie nie zostało zmodyfikowane, gdy było wyłączone ^[2]. BitLocker może dodatkowo wstrzymać start systemu do czasu podania PIN-u albo włożenia nośnika z kluczem startowym, co daje uwierzytelnianie wieloskładnikowe jeszcze przed uruchomieniem systemu ^[2]. Łańcuch zaufania startu wiąże się z mechanizmem bezpiecznego rozruchu (secure boot).

Rodzaje

NIST wyróżnia trzy podejścia: szyfrowanie całego dysku, szyfrowanie woluminów i dysków wirtualnych oraz szyfrowanie pojedynczych plików i folderów ^[1]. Wybór zależy od rodzaju pamięci, ilości danych do ochrony, środowiska i zagrożeń, przed którymi ma chronić ^[1].

W Androidzie szyfrowanie oparte na plikach (FBE) pozwala szyfrować różne pliki różnymi kluczami, odblokowywanymi niezależnie ^[3]. Pełne szyfrowanie dysku (FDE) nie jest dozwolone w nowych urządzeniach z Androidem 10 i nowszym ^[3]. Od Androida 9 metadane, takie jak układ katalogów, rozmiary plików i uprawnienia, mogą być szyfrowane osobnym kluczem ^[3]. CERT Polska przypomina, że dane na urządzeniach z Androidem są domyślnie szyfrowane ^[5]. Szyfrowanie oparte na plikach umożliwia Direct Boot: zaszyfrowane urządzenie uruchamia się od razu do ekranu blokady, a budziki i funkcje dostępności działają jeszcze przed wpisaniem PIN-u ^[3].

W Windows „szyfrowanie urządzenia” to uproszczona odmiana BitLockera, włączana automatycznie na komputerach spełniających wymagania ^[2]. Obejmuje dysk systemowy i dyski stałe, ale nie szyfruje zewnętrznych dysków USB ^[2]. Kopia strony skopiowana na pendrive wymaga więc osobnego zabezpieczenia.

W WordPressie

Szyfrowanie urządzenia nie dotyczy samej strony na serwerze, tylko komputerów i telefonów, z których się nią zarządza. Na laptopie administratora lub wykonawcy leżą zwykle pliki, które otwierają drogę do witryny: eksport bazy danych, kopia plików z wp-config.php, zapisane hasła do panelu, klucze SSH i dane dostępowe SFTP.

Dokumentacja WordPressa opisuje pełną kopię zapasową (backup) jako bazę danych i pliki, w tym wp-config.php ^[7]. Zaleca trzymać 3–5 ostatnich kopii w różnych miejscach, między innymi jedną pobraną na komputer lokalny ^[7]. Plik wp-config.php zawiera dane logowania do bazy oraz klucze bezpieczeństwa i sole, a baza — dane klientów. Kopia na niezaszyfrowanym laptopie jest więc kopią całej strony dla każdego, kto ten laptop przejmie. Stąd zalecenia z haseł utwardzanie pliku wp-config.php i zarządzanie sekretami obejmują też urządzenia, na których te sekrety się znajdują.

Znaczenie

Szyfrowanie urządzenia zmienia skutki utraty sprzętu. Bez niego zgubiony laptop oznacza ujawnienie danych; z nim — przede wszystkim stratę sprzętu. NIST zauważa, że komputery, telefony i nośniki wymienne są narażone na zagrożenia, które mogą prowadzić do dostępu osób nieuprawnionych do przechowywanych informacji ^[1].

Ma to znaczenie prawne. W decyzji DKN.5131.8.2022 z 2 listopada 2022 roku Prezes UODO nałożył 8000 zł kary na wójta gminy po kradzieży służbowego laptopa z mieszkania pracownika ^[6]. Dysk nie był zaszyfrowany, choć analiza ryzyka administratora wskazywała szyfrowanie jako zabezpieczenie; na komputerze były imiona, nazwiska, adresy i numery PESEL ^[6]. UODO uznał naruszenie między innymi art. 5 ust. 1 lit. f i art. 32 RODO ^[6], czyli przepisów o ochronie danych.

Dobre praktyki

• Włączyć szyfrowanie na każdym urządzeniu służbowym. Microsoft zaleca pozostawienie szyfrowania urządzenia włączonego na każdym systemie, który je obsługuje ^[2]. FileVault trzeba włączyć samodzielnie; po włączeniu szyfrowane są istniejące i nowe pliki ^[4].
• Zabezpieczyć klucz odzyskiwania. W Windows klucz trafia do Microsoft Entra ID, Active Directory albo konta Microsoft; urządzenie z samymi kontami lokalnymi pozostaje niechronione, mimo że dane są zaszyfrowane ^[2].
• Nie polegać na samym haśle startowym. Microsoft odradza BitLocker z samym hasłem, bo brak blokady po nieudanych próbach otwiera drogę atakom siłowym (brute-force) ^[2].
• Blokować ekran. Szyfrowanie chroni wyłączony sprzęt; włączony chroni blokada ekranu.
• Zarządzać centralnie. W firmie stan szyfrowania telefonów i laptopów sprawdza MDM, także przy modelu BYOD.

Historia i przykłady

NIST opublikował wytyczne SP 800-111 o szyfrowaniu pamięci urządzeń końcowych w listopadzie 2007 roku ^[1]. Android obsługiwał pełne szyfrowanie dysku od wersji 5.0 do 9, a szyfrowanie oparte na plikach od wersji 7.0 ^[3]. CERT Polska wskazuje, że nowe urządzenia z Androidem 10 i nowszym muszą korzystać z FBE ^[5]. W Windows 11 w wersji 24H2 zniesiono część wymagań sprzętowych automatycznego szyfrowania urządzenia, przez co obejmuje ono więcej komputerów ^[2].